Résumé

  • Sanjaya et Carlos Martinez ont documenté trois détournements d’adresses de LACNIC les 9, 10 et 12 juillet 2025, durant environ 20, 15 et cinq minutes.
  • Une fausse lettre à en-tête et un domaine trompeur ont permis à l’attaquant d’obtenir du transit sous l’ASN d’un petit FAI innocent.

Tout a commencé par un message accepté puis jamais livré. Ce détail, signalé au service d’assistance de LACNIC, a conduit à trois annonces BGP frauduleuses : le 9 juillet 2025 à 19 h 47, le 10 à 20 h 34 et le 12 à 10 h 13, en UTC−3. Vingt minutes, puis quinze, puis cinq. Le malfaiteur travaillait vite ; l’enquête, elle, devait traverser les frontières des registres.

Dans leur présentation à APNIC 61, Sanjaya, d’APNIC, et Carlos Martinez, de LACNIC, retracent cette chaîne. LACNIC a saisi APNIC, qui a contacté APJII/IDNIC en Indonésie. Le véritable titulaire de l’ASN, un petit fournisseur d’accès, n’avait rien commandé. Quelqu’un avait repris son papier à en-tête, fabriqué un domaine ressemblant au sien et convaincu un grand fournisseur de transit d’ouvrir une session. L’AS usurpé servait ensuite de relais à de brèves annonces émises sous d’autres ASN falsifiés.

Le récit publié par LACNIC précise que le titulaire était lui aussi une victime. Le fournisseur de transit a coupé la session après le signalement du titulaire ; APJII/IDNIC et celui-ci ont transmis leurs conclusions à APNIC et LACNIC. Le compte rendu d’APNIC confirme la présentation commune. Aucun volume de trafic détourné ni nom du fournisseur n’est publié.

Le détail qui frappe Sanjaya n’est pas la vitesse du BGP, mais la lenteur supposée de la vérification humaine. Une entreprise inventée sur un document crédible a obtenu une connexion réelle. La question à poser avant le premier paquet est simple : qui a appelé le titulaire connu de l’ASN ?